Política de Privacidade

1.1. Esta política descreve o tratamento de dados pessoais do médico que usa o PedPronto (visitante, cadastro, assinante, beneficiário de conta de cortesia ou de licença institucional). Esta Política também cobre dados pessoais que apareçam em comprovantes e documentos anexados à Agenda do painel administrativo da PedPronto (por exemplo, CPF, IP ou certificado do responsável em recibo ou declaração), tratados para cumprimento de obrigações da própria empresa, e não como dado de paciente nem como cadastro de assinante.

1.2. O PedPronto não é prontuário. Não tem dado de paciente como finalidade. Se algum vier por engano no texto colado na aba Exames, o PedPronto atua como operador do médico, que é o controlador (cláusula 6.1). Não há campo para nome de criança, prontuário, filiação ou foto. A aba Exames recebe só texto de laudo sem identificadores, para condensar (cláusula 3.1). Peso e idade digitados na régua existem só na sessão do navegador, para cálculo com fonte, e não devem identificar ninguém.

1.3. Se você colar identificador de paciente em suporte ou em qualquer campo, isso é uso indevido. Podemos apagar quando detectarmos. Não vira finalidade do produto.

2.1. O PedPronto é o controlador dos dados da conta do médico.

2.2. Operadores (hospedagem, autenticação, e-mail, firewall, emissor fiscal) tratam dados sob instrução do PedPronto, no limite de cada contrato.

2.4. O Asaas, que processa os pagamentos, atua como controlador independente dos dados que coleta diretamente do Usuário para pagamento e verificação de identidade, e como fornecedor do PedPronto para o status das cobranças e da assinatura (cláusula 5.1).

2.3. O web service do CFM é consultado para verificar a inscrição. O CFM trata esses dados na qualidade que a lei e a Resolução CFM 2.309/2022 atribuem a ele, não como “produto PedPronto”.

3.1. Não coletamos: dado de paciente identificável na base de produto; CPF em claro na base própria; CPF para fins de pagamento; número de cartão, em qualquer forma; geolocalização fina; conteúdo clínico consultado como prontuário. Na aba Exames, o texto de laudo colado pelo médico, que deve vir sem identificadores do paciente, é usado só para gerar a linha condensada. Em contas autorizadas, esse texto é enviado ao provedor de modelo de linguagem (OpenAI); nas demais, e quando a inteligência artificial recusa, o resumo é feito no próprio aparelho, sem envio a provedor de inteligência artificial. O PedPronto não guarda o texto nem o resumo; pode guardar só metadados de uso (data, conta e quantidade de resumos, para o limite por conta), sem o conteúdo, por até 90 dias.

3.2. A decisão de não guardar CPF em claro nem cartão na base própria está fechada. Cartão e CPF para pagamento são informados diretamente ao Asaas, na página de pagamento dele, e ficam com o Asaas. Validar CFM: CPF em claro só em memória; o único derivado guardado é o hash irreversível com chave secreta, gerado na verificação do CRM, usado para controlar o uso único da garantia de 14 dias. Nota fiscal não usa esse hash.

3.3. Operação Validar (produção). Em produção, o cadastro pede CPF e data de nascimento do médico somente para o web service oficial do CFM (Resolução CFM 2.309/2022) confirmar que o CRM é de quem se cadastra. Finalidade: impedir uso de CRM de terceiro. O PedPronto não armazena CPF em claro nem data de nascimento. Os dados vão ao CFM na requisição, volta um sim ou não, e o PedPronto descarta CPF e nascimento. Log de segurança pode guardar o resultado, o CRM, a UF, a data e a hora. CPF em claro e nascimento não entram em log de aplicação, Sentry, Fly, Cloudflare, corpo de resposta JSON, dump nem backup: só memória até o sim ou não do CFM. Exceção única: para controlar o uso único da garantia de 14 dias, o PedPronto guarda um hash irreversível do CPF, gerado na verificação do CRM junto ao CFM (quando o médico vincula o CRM), por HMAC com chave secreta, junto com o hash do CRM. Esse hash não vem do Asaas nem usa o CPF do pagador, é guardado só para esse controle, não é usado para outra finalidade e não permite recuperar o CPF. Em contas cujo CRM foi vinculado antes dessa regra, o controle é feito pela conta e pelo CRM. O ambiente de teste não pede esses campos. O campo só aparece em produção depois deste texto publicado e do aviso na tela de cadastro.

3.4. CPF usado para pagamento ou nota fiscal, se houver, é informado diretamente ao Asaas (ou ao emissor fiscal) e permanece com ele. É fluxo separado do Validar. Continua sem CPF em claro na base do PedPronto.

3.5. Anexos da Agenda (painel administrativo). O painel pode receber arquivos anexados a etapas de obrigações da PedPronto Tecnologia em Saúde Ltda (fiscais, trabalhistas, previdenciárias ou regulatórias da própria empresa). Tipos aceitos: PDF, XML, PNG e JPG, com tamanho de até 10 MB por arquivo, validados no servidor pelo conteúdo. Os arquivos ficam em bucket privado no Cloudflare R2, sem listagem pública e sem URL pública. O download e a visualização passam só pela API autenticada do painel. Acesso: apenas conta com papel de administrador e segundo fator de autenticação (2FA). Responsável técnica e encarregado não acessam esses arquivos pelo painel no lançamento desta função. O PedPronto não extrai nem grava CPF, IP ou certificado do arquivo em campo de texto da obrigação; esses dados, se existirem, permanecem só dentro do arquivo. Campos de texto e observações da obrigação continuam a recusar CPF completo e senha. Esses anexos não são dado de paciente e não são dado do médico assinante: o pedido de exclusão de conta de assinante (seção 08) não os apaga. Quem figura no comprovante (sócio, administrador ou responsável) pode exercer os direitos da LGPD pelo canal do encarregado (seção 13), observados os limites legais de conservação. No lançamento desta função não há varredura antivírus automática do arquivo; a proteção é tipo, tamanho, hash e acesso restrito. Não há URL pré-assinada longa no lançamento.

Não usamos “consentimento” como capa para tudo. Consentimento só onde a lei pede escolha real.

4.1. Dado de saúde do paciente não é tratado. CRM e especialidade do médico são dados pessoais; eventualmente dados profissionais. Tratamos com minimização. Não classificamos a base como dado de saúde de criança.

4.2. Legítimo interesse da marca d’água: proteger o acervo clínico contra republicação, sem gravar o caso atendido. Você é informado na área da conta.

Não listamos marca de fornecedor que ainda não foi contratada. Categorias previstas:

• autenticação e gestão de identidade;
• hospedagem, armazenamento e backup;
• rede de distribuição e firewall de aplicação;
• processamento de pagamentos (cartão, Pix, recorrência): Asaas;
• emissor de nota fiscal;
• envio de e-mail transacional;
• web service de consulta a médicos do CFM;
• contabilidade e assessoria jurídica ou regulatória, quando o dado for necessário;
• armazenamento de anexos do painel administrativo (Cloudflare R2), sob instrução do PedPronto, sem publicação do arquivo;
• autoridade pública, quando houver obrigação legal.

5.1. Asaas (processamento de pagamentos). O pagamento é feito na página de pagamento hospedada do Asaas (Asaas Gestão Financeira Instituição de Pagamento S.A.), por Pix ou cartão de crédito. O Asaas coleta diretamente do Usuário os dados necessários ao pagamento e às obrigações dele como instituição de pagamento (por exemplo, nome, CPF, dados do cartão e verificações de identidade e de prevenção a fraude). Para esses dados, o Asaas atua como controlador independente, sob a política de privacidade própria dele, disponível no site do Asaas; o PedPronto não os recebe nem os armazena. Para o status das cobranças e da assinatura, o Asaas atua como fornecedor do PedPronto: o PedPronto envia ao Asaas só o necessário para abrir a cobrança (plano, valor e um identificador interno, sem CPF) e recebe de volta apenas identificadores e situação (identificador do cliente e da assinatura no Asaas, valor, data, situação paga, estornada, recusada ou vencida, e meio de pagamento em nível genérico, como Pix ou cartão). O PedPronto usa essas informações para liberar ou encerrar o acesso, aplicar a garantia, o arrependimento e o reembolso previstos nos Termos de Uso e cumprir obrigações fiscais. Reembolsos são solicitados ao Asaas e devolvidos pelo mesmo meio de pagamento.

6.1. Se autenticação, hospedagem, e-mail ou pagamento usarem operador fora do Brasil, haverá transferência internacional (LGPD, arts. 33 a 36). No resumo de exames por inteligência artificial, o texto de laudo sem identificadores é processado pela OpenAI, fora do Brasil, com as garantias contratuais exigidas pela LGPD. Quanto a eventual dado de paciente que venha no texto, o médico é o controlador, o PedPronto atua como operador e a OpenAI como suboperadora, só para condensar.

6.2. Mecanismos: país com nível adequado reconhecido pela ANPD, cláusulas contratuais, ou outro instrumento aceito pela ANPD, conforme o operador escolhido.

6.3. Esta cláusula é de categoria. Operadores concretos em uso (entre outros: Cloudflare Pages, Cloudflare R2 (armazenamento privado de anexos da Agenda do painel; sem URL pública; acesso só pela API do painel), Fly.io em São Paulo, Neon, Asaas, Zoho Mail e OpenAI (suboperadora; modelo de linguagem para condensar texto laboratorial sem identificadores, na aba Exames, só em contas autorizadas, sem uso do conteúdo para treinar modelos, conforme os termos de API do provedor; o provedor pode reter o conteúdo por prazo próprio, definido nos termos dele, para segurança e prevenção de abuso)) constam do inventário de tratamentos e são atualizados aqui quando mudar a operação.

6.4. Medição de anúncios. Se você aceitar os cookies de medição (cláusula 11.1), os dados técnicos da visita vão para o Google e para a Meta, que os tratam também nos Estados Unidos. Os Estados Unidos não têm decisão de adequação da ANPD. Por isso, essa transferência se apoia no seu consentimento específico e em destaque, dado no banner de cookies (LGPD, art. 33, VIII). Sem esse aceite, nenhum dado de medição é enviado ao Google nem à Meta.

7.1. Backup segue a mesma finalidade, com ciclo de overwrite. Restore de incidente não é desculpa para recriar conta que o titular pediu para apagar, depois de o ciclo de backup expirar.

7.2. Os dados do pré-cadastro não criam conta e não são usados para outra finalidade. Novidades e promoções só com consentimento separado.

Você pode pedir:

• confirmação de tratamento e acesso (formato simplificado imediato ou completo em até 15 dias, art. 19);
• correção;
• anonimização, bloqueio ou eliminação de dado desnecessário ou excessivo;
• portabilidade, na medida em que a ANPD regulamentar e for tecnicamente aplicável a uma conta de assinatura;
• informação sobre compartilhamentos;
• informação sobre a possibilidade de não consentir e as consequências;
• revogação de consentimento (promoções, cookies não essenciais);
• oposição a tratamento baseado em legítimo interesse, observadas as hipóteses legais;
• revisão de decisão automatizada, se houver. Hoje a verificação de CRM Regular é consulta a base oficial, não “perfil clínico”.

Pedidos: privacidade@pedpronto.com.br ou pela área da conta (baixar, corrigir, excluir), quando a tela estiver no ar.

Não apagamos nota fiscal nem registro que a lei mande conservar. Não entregamos dado de paciente porque não o temos.

9.1. Medidas previstas no checklist do produto: autenticação gerenciada, segundo fator, TLS, minimização, sem prontuário, sem PAN, marca d’água, firewall, backup, cofre de credenciais. Anexos da Agenda: armazenamento em bucket privado, sem URL pública; upload, download, preview e exclusão só por administrador autenticado com segundo fator; trilha de auditoria sem gravar o conteúdo do arquivo em log.

9.2. Incidente de segurança que possa acarretar risco ou dano relevante: comunicação à ANPD e aos titulares, nos termos do art. 48 da LGPD e do regulamento da ANPD então vigente. Compromisso interno do produto: ciência à operação e início da comunicação em até 72 horas da ciência do incidente, quando o art. 48 se aplicar. O prazo da ANPD prevalece se for diferente.

10.1. O Usuário é médico adulto. Não fazemos conta para paciente, pai ou mãe.

10.2. Peso e idade na régua não devem ser usados para identificar criança. Não são dados armazenados de menor.

10.3. Na aba Exames, o médico é responsável por remover identificadores antes de colar o laudo. O texto é usado só para condensar, no aparelho ou, em contas autorizadas, na OpenAI, sem interpretação clínica e sem ser guardado pelo PedPronto como dado de paciente. Quando o texto vai à OpenAI, o provedor pode reter o conteúdo por prazo próprio, definido nos termos dele, para segurança e prevenção de abuso.

Ver a Política de Cookies. Essenciais não dependem de banner de marketing. Não essenciais só com escolha.

11.1. Medição de anúncios. Usamos a tag do Google Ads e o Pixel da Meta, só nas páginas públicas do site e nunca no app logado nem no painel, para saber se uma visita veio de um anúncio nosso e se terminou em inscrição na lista de lançamento ou em cadastro. Essas ferramentas gravam cookies no seu navegador e enviam ao Google e à Meta dados técnicos da visita: o endereço da página, sem parâmetros (exceto o identificador do clique no anúncio), a data, o evento (visita à página, inscrição na lista ou cadastro concluído) e o identificador do clique ou do navegador. Não enviamos nome, e-mail, telefone, CPF, CRM, dados de saúde nem dados de pacientes. A base legal é o seu consentimento (LGPD, art. 7º, I). As ferramentas só são ativadas se você aceitar os cookies de medição. Sua escolha fica registrada neste navegador, e você pode retirar o aceite a qualquer momento em “Cookies”, no rodapé, sem prejuízo ao uso do site. O Google trata esses dados como controlador independente, conforme a política dele, em policies.google.com/privacy. A Meta Platforms, Inc. trata esses dados como operadora, para medir os nossos anúncios, e como controladora quando os usa para fins próprios, conforme os Termos das Ferramentas de Negócios da Meta (www.facebook.com/legal/technology_terms) e a política de privacidade dela (www.facebook.com/privacy/policy). Os prazos dos cookies estão na Política de Cookies, e o tempo em que o Google e a Meta guardam os dados é definido por eles.

Mudança relevante será avisada por e-mail ou na Plataforma. A versão vigente fica publicada com data.

Raphael Figueiredo de Rezende
privacidade@pedpronto.com.br
PedPronto Tecnologia em Saúde Ltda · CNPJ 68.915.092/0001-73 · Av. Doutor Jaime Ribeiro da Luz, 971, Sala 52, Santa Mônica, Uberlândia/MG, CEP 38408-188

Você também pode recorrer à ANPD (autoridade nacional).

14.1. O aplicativo do PedPronto para iPhone e Android dá acesso à mesma conta e ao mesmo conteúdo do site. Esta política vale também para ele, com as regras desta seção.

14.2. Uso sem internet. Para funcionar sem conexão, o aplicativo guarda no próprio aparelho o seu perfil (nome, CRM e o identificador de conteúdo usado na marca d’água, cláusula 7 dos Termos de Uso) e o pacote de condutas. Essa cópia serve só para o uso sem internet. Ela é renovada cada vez que você abre o aplicativo com internet e com a assinatura ativa, e vale por até 7 dias desde o último contato com o servidor. Passados os 7 dias, o aplicativo apaga a cópia das condutas e não mostra conteúdo até se conectar de novo. A cópia também é apagada quando você sai da conta no aplicativo, quando exclui a conta ou quando o usuário guardado no aparelho não corresponde à conta conectada. Ela fica fora do backup na nuvem do aparelho. A base legal é a execução do contrato (LGPD, art. 7º, V).

14.3. Biometria. O desbloqueio por digital ou rosto (Face ID, Touch ID ou a biometria do Android) é opcional e é ligado nos Ajustes do aplicativo. Ele é feito só pelo sistema do aparelho. O aplicativo recebe do sistema apenas a informação de que o desbloqueio deu certo ou não. Ele também guarda no aparelho se a opção está ligada. Nada disso é enviado ao PedPronto, nem o resultado. Não recebemos, não vemos e não guardamos sua digital nem a imagem do seu rosto.

14.4. Sem rastreamento de anúncios. O aplicativo não usa rastreamento de anúncios nem o identificador de publicidade do aparelho, e não carrega a tag do Google Ads nem o Pixel da Meta descritos na seção 11.1. Ele também não usa ferramentas de estatística de uso nem de relatório de falhas.

14.5. Assinatura. A assinatura é contratada e paga só no site do PedPronto, nunca pela loja de aplicativos. O cancelamento é feito na página Minha conta do site, que também pode ser aberta pelo aplicativo. A Apple e a Google não recebem do PedPronto dados de pagamento da sua assinatura.

14.6. Lojas de aplicativos. Ao baixar o aplicativo, a Apple (App Store) ou a Google (Google Play) trata dados da sua conta na loja e do download como controladora independente, conforme a política de privacidade de cada uma. O PedPronto não controla esse tratamento.

14.7. Aparelho e sessões. O aparelho conectado pelo aplicativo conta para o limite de dispositivos simultâneos da conta (cláusula 6.4 dos Termos de Uso) e aparece em Sessões e aparelhos, com o mesmo tratamento e os mesmos prazos das sessões do site.